Pentest de aplicação web
Pentest de aplicação web: teste de intrusão em sites, portais e APIs, com achados por severidade (CVSS) e reteste incluído.
- Contratação
- Projeto
- Prazo
- De 1 a 3 semanas, conforme o tamanho da aplicação.
O problema
Sua aplicação web — site, área de cliente, portal ou API — é a porta mais exposta da empresa. Falhas de autenticação, injeção e controle de acesso não aparecem no uso normal nem em uma varredura automática, mas são exatamente o que um atacante procura primeiro.
O que a Xtech faz
A Xtech faz o teste de intrusão da sua aplicação web, simulando de forma controlada e autorizada o que um atacante real tentaria. Cobrimos as classes de falha do OWASP Top 10 — autenticação e sessão, injeção (SQL, XSS), controle de acesso, configuração e lógica de negócio — em páginas e nas APIs por trás delas. Você escolhe a abordagem: caixa preta (só os alvos), caixa cinza (um acesso de usuário comum) ou caixa branca (documentação e credenciais). O teste é remoto e sempre autorizado por escrito.
O que está incluído no pentest de aplicação web
Incluído
- Mapeamento da superfície da aplicação: páginas, fluxos e APIs
- Teste de autenticação, sessão e controle de acesso
- Teste de injeção (SQL, XSS e correlatas) e de configuração
- Teste de lógica de negócio (abuso de fluxos legítimos)
- Exploração controlada para comprovar o impacto real, sem danificar o ambiente
- Relatório com cada achado por gravidade (CVSS), evidência e correção
- Sumário executivo e reteste das falhas apontadas, uma vez
Não incluído
- Correção das falhas
- Negação de serviço (DoS) e teste de carga
- Engenharia social e phishing contra usuários
- Teste da infraestrutura de rede fora do escopo da aplicação
Como funciona o pentest de aplicação web
-
Escopo e autorização
Definimos as URLs, APIs e a abordagem. Você assina a autorização. Nada é executado antes disso.
-
Reconhecimento
Mapeamos páginas, parâmetros, endpoints de API e pontos de entrada da aplicação.
-
Teste e exploração
Procuramos as falhas e, quando encontramos, exploramos de forma controlada para comprovar o impacto real.
-
Relatório
Cada achado com gravidade, evidência e correção, mais um sumário para a diretoria. Falha crítica é comunicada na hora.
-
Apresentação e reteste
Apresentamos os resultados e, após as correções, refazemos o teste das falhas apontadas.
O que você recebe
- Relatório completo, com achados, evidências e plano de correção priorizado
- Sumário executivo em linguagem de negócio
- Apresentação dos resultados à sua equipe
- Reteste das falhas corrigidas, com anexo de resultado
Para quem é
Para empresas que expõem na internet um site transacional, área de cliente, portal ou API e precisam saber se ele resiste a um ataque — seja por exigência de cliente, auditoria ou decisão própria de reduzir risco.
Investimento
Sob consulta
Prova
Metodologia reconhecida de mercado (OWASP), relatório com classificação de gravidade por CVSS, reteste incluído e mais de duas décadas de experiência em segurança de rede e infraestrutura.
Perguntas frequentes
Qual a diferença entre pentest de aplicação web e varredura de vulnerabilidades?
A varredura é automática e lista possíveis falhas. O pentest de aplicação web é conduzido por um especialista, que explora as falhas de verdade — inclusive as de lógica de negócio, que nenhuma ferramenta encontra — e comprova o impacto.
Vocês testam as APIs, não só as telas?
Sim. As APIs por trás da aplicação entram no escopo: autenticação, autorização e validação de entrada são testadas no mesmo teste.
O teste pode derrubar minha aplicação?
A exploração é controlada para comprovar o impacto sem causar dano. Combinamos antes a janela e os alvos, e falha crítica é comunicada na hora.
Preciso entregar acesso e senha?
Depende da abordagem. Na caixa preta, não. Na caixa cinza (a mais comum), você fornece um acesso de usuário comum. Tudo o que for entregue é devolvido ou destruído ao final.
Como contratar?
Diga qual é a aplicação e devolvemos uma proposta com escopo, abordagem, prazo e valor. Só executamos após a autorização assinada.
Receba uma proposta
Diga qual é a sua aplicação e devolvemos uma proposta com escopo e valor.
São cinco perguntas sobre o que você quer testar. Não pedimos contato antes do final, e você recebe a proposta por e-mail.
Veja também
Ofertas relacionadas
- Pentest de rede externa Pentest de rede externa: teste de intrusão no perímetro e nos serviços expostos à internet, com achados por severidade e reteste.
- Pentest: teste de intrusão Serviço de pentest da Xtech: teste de intrusão em aplicações web e redes externas, com relatório por severidade e reteste incluído.
- Proteção de sites e aplicações Proteção de sites e aplicações web: WAF e filtro anti-bot em nuvem que barra ataques e tráfego malicioso antes do servidor, sem instalar nada.